Informativa sulla privacy

1. Chi siamo e come contattarci

VARANTECH ENERJİ SAN. TİC. LTD. ŞTİ. («Quote3D», «noi») gestisce il servizio Quote3D all'indirizzo quote3d.com. Siamo stabiliti ad Ankara, in Türkiye.

Non abbiamo nominato un responsabile della protezione dei dati. Non siamo tenuti a nominarlo, poiché non svolgiamo un monitoraggio su larga scala di persone e non trattiamo categorie particolari di dati su larga scala come attività principale.

Rappresentante nell'Unione europea (articolo 27 del GDPR): «RAPPRESENTANTE UE — da completare prima della pubblicazione». Rappresentante nel Regno Unito (articolo 27 del UK GDPR): «RAPPRESENTANTE UK — da completare prima della pubblicazione».

Finché tali voci non sono completate, le persone nell'Unione europea e nel Regno Unito possono rivolgersi direttamente a noi all'indirizzo [email protected]; risponderemo entro i termini di legge indicati alla sezione 11.

• Indirizzo postale: Fevzi Çakmak Mah. Orhan Gazi Cad. No:92/A, Sincan, Ankara, Türkiye
• E-mail per ogni questione relativa alla privacy, incluse richieste e reclami: [email protected]

2. Quando decidiamo noi e quando decide il suo fornitore

Esistono due situazioni distinte, e i suoi diritti seguono percorsi diversi in ciascuna.

Siamo titolari del trattamento quando lei si rivolge direttamente a noi: visita quote3d.com, crea un account, carica un modello, richiede un preventivo, sottoscrive un abbonamento, usa l'API con le proprie credenziali o contatta l'assistenza. La presente informativa copre tale trattamento.

Siamo responsabili del trattamento quando lei ci raggiunge tramite il sito di un terzo. I nostri clienti incorporano un widget Quote3D sui propri siti. Se ha caricato un file per ottenere un preventivo da una tipografia, quella tipografia è il titolare e decide perché i suoi dati sono trattati; noi agiamo su sue istruzioni. In tal caso, eserciti i suoi diritti presso di lei. Se invece contatta noi, non risponderemo nel merito, perché non sono dati di cui ci spetti parlare: la inviteremo a rivolgersi a essa e le comunicheremo che lei ha chiesto. Le condizioni che regolano tale rapporto sono contenute nel nostro Accordo sul trattamento dei dati.

3. Che cosa raccogliamo e da dove proviene

La maggior parte proviene direttamente da lei. Dove così non è, la fonte è indicata.

Non chiediamo categorie particolari di dati ai sensi dell'articolo 9 del GDPR, e il servizio non è progettato per riceverle. Tenga presente che un modello anatomico, dentale o protesico può contenere informazioni sulla salute. Se è questo il suo caso d'uso, ci contatti prima di caricare, così da concordare le condizioni adeguate.

4. Perché trattiamo i dati e su quale base giuridica

La base giuridica è indicata per finalità, non come elenco generale. Dove ci fondiamo sul legittimo interesse, l'interesse specifico è nominato e lo abbiamo bilanciato con i suoi diritti.

Non utilizziamo i suoi dati personali, i suoi file caricati o la sua geometria per addestrare modelli di apprendimento automatico. Non vendiamo dati personali. Non utilizziamo i contenuti caricati a fini pubblicitari.

5. È obbligatorio fornire i dati?

L'articolo 13, paragrafo 2, lettera e), ci impone di essere chiari su questo punto.

• Un indirizzo e-mail è un requisito contrattuale: senza di esso non possiamo creare un account, autenticarla o inviarle il preventivo. Se non lo fornisce, non possiamo erogare il servizio.
• Un file di modello è necessario per eseguire il contratto di preventivazione. Senza il file non c'è nulla da analizzare, quindi nessun preventivo può essere prodotto.
• I dati di fatturazione sono un requisito contrattuale e di legge per i piani a pagamento. Senza di essi un abbonamento non può essere costituito né fatturato.
• I cookie analitici e pubblicitari sono del tutto facoltativi. Rifiutarli non le costa nulla: il servizio funziona in modo identico.
• I dati tecnici e di sicurezza sono raccolti automaticamente nell'ambito dell'evasione di una richiesta su internet e non possono essere disattivati durante l'uso del servizio.

6. Chi riceve i suoi dati

Si tratta di categorie e destinatari nominati, non di un vago richiamo a «partner di fiducia». L'elenco completo dei sub-responsabili, con i dati che ciascuno riceve e il luogo del trattamento, è pubblicato all'indirizzo /legal/subprocessors.

Ciascuno di essi è vincolato da un contratto che limita ciò che può fare con i dati. Non comunichiamo dati personali a nessun altro.

• Lemon Squeezy — merchant of record per i piani a pagamento: checkout, pagamento, determinazione di imposte e IVA, fatturazione, rinnovi. Riceve il suo nome, la sua e-mail, il suo paese di fatturazione e i suoi dati di fatturazione.
• Google — alimenta l'assistente di supporto dal vivo con IA tramite l'API Gemini. Riceve il testo integrale dei messaggi che lei vi digita e le risposte. Non riceve i suoi file caricati, la sua geometria, le sue credenziali o i suoi dati di fatturazione.
• Google — reCAPTCHA per la protezione dai bot, che è necessaria e si carica senza un consenso separato; Tag Manager e analytics, che si caricano solo se accetta i cookie analitici; AdSense, che si carica solo se accetta i cookie di marketing; e l'accesso federato, se lo sceglie.
• Meta — accesso federato, solo se lo sceglie.
• Il nostro fornitore di recapito e-mail — messaggi transazionali quali link di accesso, verifica, reimpostazione della password e avvisi di fatturazione.
• I nostri fornitori di hosting, database e cache — custodiscono tutti i dati memorizzati; i file caricati sono conservati in forma cifrata.
• Autorità giudiziarie, autorità di regolazione e altre autorità competenti, ove siamo tenuti per legge alla comunicazione.
• Un acquirente o avente causa, in caso di cessione o riorganizzazione dell'impresa. Glielo comunicheremmo prima che i suoi dati passassero a un titolare diverso.

7. Trasferimenti internazionali

Siamo stabiliti in Türkiye, e i server che erogano il servizio, ospitano il database e memorizzano i suoi file si trovano in Türkiye, gestiti per noi da VG Telekomünikasyon Tic. Ltd. Şti. I suoi file caricati non lasciano quindi la Türkiye. Alcuni dei nostri altri fornitori — pagamenti, assistente IA, protezione dai bot e, dove lei vi acconsente, analytics e pubblicità — trattano dati negli Stati Uniti e nell'Unione europea.

Finché la Commissione europea non ne adotta una, non esiste una decisione di adeguatezza per la Türkiye. Quando trasferiamo dati personali dallo Spazio economico europeo o dal Regno Unito verso un fornitore situato al di fuori di essi, ci fondiamo sulle clausole contrattuali tipo approvate dalla decisione di esecuzione (UE) 2021/914 della Commissione e, per il Regno Unito, sull'International Data Transfer Addendum. Può ottenere copia delle clausole su cui ci fondiamo e della valutazione del trasferimento che le sostiene scrivendo a [email protected].

Un punto viene spesso enunciato in modo errato, perciò lo enunciamo correttamente: quando lei si trova nello Spazio economico europeo e ci invia lei stesso i propri dati — iscrivendosi, caricando un file o scrivendo all'assistenza — non si tratta di un trasferimento soggetto al Capo V del GDPR, perché lei non è un esportatore di dati. Ciò che il Capo V copre è il flusso dai nostri clienti business verso di noi e i nostri flussi successivi verso i fornitori nominati alla sezione 6. Sono questi i trasferimenti che le clausole sopra indicate proteggono.

Dove si applica il diritto turco, ci fondiamo sui meccanismi previsti dall'articolo 9 della legge n. 6698 e completiamo nei termini ogni adempimento richiesto dalla normativa applicabile.

8. Per quanto tempo li conserviamo

Periodi concreti, come richiede l'articolo 13, paragrafo 2, lettera a). Sono applicati da un processo di pulizia pianificato, non semplicemente auspicati.

Quando una registrazione è soggetta a più di un periodo, si applica il più lungo, e solo per la finalità che lo giustifica.

• File caricati che non hanno prodotto alcun preventivo: cancellati 24 ore dopo il caricamento. È un'impostazione dell'operatore; se viene modificata, la presente informativa viene modificata con essa, e può chiederci su quale valore è impostata oggi.
• File caricati che hanno prodotto un preventivo: cancellati 365 giorni dopo l'ultimo utilizzo. Richiedere un nuovo preventivo da un file azzera tale termine. L'operatore può abbreviare questo periodo nelle impostazioni di amministrazione; se viene modificato, la presente informativa viene modificata con esso.
• Registrazioni dei preventivi, ossia prezzo, parametri e misure derivate senza il file: conservate finché il suo account è attivo, affinché la cronologia dei preventivi resti a sua disposizione.
• Risultati derivati dell'analisi della geometria: conservati in una cache condivisa indicizzata tramite l'hash del contenuto del file, affinché un file identico non debba essere ricalcolato. Contengono misure, non contenuti dei file, e il collegamento al suo account viene rimosso alla cancellazione del file.
• Log di audit, log di utilizzo dell'API e log di sistema: 90 giorni. L’indirizzo IP e lo user agent registrati con un preventivo vengono cancellati allo scadere dello stesso termine; il record del preventivo resta, vengono svuotati solo questi due campi. È un'impostazione dell'operatore; se viene modificata, la presente informativa viene modificata con essa, e può chiederci su quale valore è impostata oggi.
• Token di reimpostazione password e di verifica e-mail: 7 giorni. Sessioni di caricamento utilizzate: 24 ore.
• Dati dell'account: conservati finché il suo account è attivo. Può eliminare l'account autonomamente dalle impostazioni del pannello, e ciò avviene immediatamente anziché entro 30 giorni. Prima della conferma, quella schermata elenca ogni registrazione che sopravvive alla cancellazione e la ragione giuridica di ciascuna.
• Registrazioni dei consensi, compresa la copia del testo che ha accettato: conservate per 3 anni dopo la cessazione dell'abbonamento, perché costituiscono la nostra prova di quanto concordato. Ciò è richiesto anche dalla normativa statunitense sul rinnovo automatico.
• Documenti di fatturazione, contabili e fiscali: conservati per il periodo richiesto dalla normativa fiscale applicabile, che sopravvive all'account.
• Backup cifrati: sovrascritti nel loro ciclo di rotazione e cancellati non oltre 35 giorni dopo la cancellazione dei dati dal sistema attivo. Fino ad allora sono usati solo per il ripristino in caso di disastro.

9. Come li proteggiamo

Descriviamo le nostre misure in modo preciso anziché generico, perché un'affermazione di sicurezza sovrastimata è di per sé un'esposizione giuridica e perché siamo vincolati da quanto pubblichiamo qui.

Il limite di tale protezione, detto senza giri di parole: la cifratura dei dati inattivi protegge il supporto di memorizzazione. Non è cifratura end-to-end. Il servizio deve decifrare un modello per analizzarlo, quindi siamo tecnicamente in grado di accedere al contenuto dei file, e lei non deve presumere il contrario.

Nessun sistema è assolutamente sicuro. Se si verifica una violazione dei dati personali che presenti probabilmente un rischio elevato per i suoi diritti e le sue libertà, glielo comunicheremo senza ingiustificato ritardo e notificheremo le autorità competenti entro i termini a noi applicabili.

• I file caricati sono cifrati quando inattivi con AES-256-GCM, usando una chiave derivata per ciascun singolo file tramite HKDF-SHA256 da una chiave principale e da un salt casuale specifico del file.
• Il formato del file memorizzato reca un identificativo di chiave, così le chiavi principali possono essere ruotate e dismesse senza riscrivere i file esistenti.
• I file sono memorizzati in frame autenticati da 256 KB. Ogni frame reca il proprio tag di autenticazione, e il nonce e i dati autenticati aggiuntivi di ciascun frame lo vincolano alla sua posizione e alla fine del file, così che i frame non possano essere riordinati o omessi, né il flusso troncato, senza che ciò venga rilevato.
• Il traffico da e verso le nostre interfacce pubbliche è protetto con TLS.
• L'accesso ai dati di produzione è basato sui ruoli e concesso secondo il principio della stretta necessità; i file sono isolati per account con permessi restrittivi del file system; i token API hanno ambito limitato e limiti di frequenza; ripetuti accessi falliti bloccano l'account.
• I backup sono cifrati. La disponibilità del servizio è monitorata. I periodi di conservazione sono applicati da processi pianificati anziché da buone intenzioni.
• Le modifiche sono coperte da una suite di test automatizzati, comprensiva di controlli di regressione che verificano l'applicazione dei consensi e il contenuto di questi documenti legali.

10. Trattamento automatizzato

Il preventivo è prodotto automaticamente: il motore effettua lo slicing del suo modello e calcola un prezzo senza revisione umana. Abbiamo preso posizione su che cosa ciò significhi sul piano giuridico anziché lasciare la questione irrisolta.

A nostro giudizio, un preventivo di prezzo automatizzato per un lavoro di stampa non è una decisione che produce effetti giuridici che la riguardano o che incide in modo analogamente significativo sulla sua persona ai sensi dell'articolo 22, paragrafo 1, del GDPR. È una stima di prezzo che lei è libero di accettare, rifiutare o ottenere altrove, e nulla dei suoi diritti o della sua posizione muta per effetto di essa.

Non trattiamo quindi la preventivazione come processo decisionale automatizzato ai sensi dell'articolo 22. Se nel suo caso specifico non è d'accordo, ci scriva: può chiedere che la base di un preventivo sia spiegata e riesaminata da una persona. Nel diritto turco, l'articolo 11, paragrafo 1, lettera g), della legge n. 6698 le riconosce un diritto espresso di opporsi a un risultato prodotto esclusivamente da un'analisi automatizzata quando esso operi a suo sfavore, e lo rispetteremo.

11. I suoi diritti

Fatto salvo il diritto a lei applicabile, le spettano i diritti seguenti. Li esercita tutti allo stesso modo: scriva a [email protected] dall'indirizzo associato al suo account, oppure ci fornisca elementi sufficienti per reperire le sue registrazioni.

Dove si applica la legge turca n. 6698, il suo articolo 11 le riconosce inoltre il diritto di sapere se i suoi dati siano stati trasferiti nel paese o all'estero e a chi, di chiedere che i terzi siano informati di una correzione o cancellazione e di chiedere il risarcimento del danno derivante da un trattamento illecito.

Per queste richieste non addebitiamo alcun costo. Riscontriamo una richiesta entro 5 giorni lavorativi e rispondiamo entro 30 giorni. Se una richiesta è complessa possiamo prorogare tale termine e le comunicheremo il motivo prima della scadenza del termine iniziale. Le chiederemo di verificare la sua identità, e nulla di più.

Se non è soddisfatto del modo in cui abbiamo gestito una richiesta, ce lo dica. Riscontriamo i reclami entro 30 giorni e le comunichiamo che cosa intendiamo fare.

• Accesso — ottenere conferma che trattiamo o meno i suoi dati, una copia degli stessi e le informazioni della presente informativa nella parte che la riguarda.
• Rettifica — far correggere dati inesatti e completare dati incompleti.
• Cancellazione — far cancellare i suoi dati ove ricorrano le condizioni di legge. Non deve chiederlo: le impostazioni del pannello contengono un pulsante di eliminazione che cancella l'account immediatamente. Prima della conferma, esso indica ogni registrazione che un obbligo di legge ci impone di conservare e il perché.
• Limitazione — far limitare il trattamento mentre è pendente una contestazione sull'esattezza o sulla liceità.
• Opposizione — opporsi al trattamento fondato sui nostri legittimi interessi, per motivi connessi alla sua situazione particolare. Cesseremo, salvo che possiamo dimostrare motivi legittimi cogenti prevalenti sui suoi interessi.
• Portabilità — ricevere i dati che ci ha fornito in un formato strutturato, di uso comune e leggibile da dispositivo automatico, e farli trasmettere a un altro titolare ove tecnicamente fattibile. Le impostazioni del pannello contengono un pulsante di download che lo produce come un unico file JSON. Le sue chiavi segrete API ne sono deliberatamente escluse.
• Revoca del consenso — in qualsiasi momento, per tutto ciò che facciamo sulla base del consenso, senza pregiudicare la liceità del trattamento precedente alla revoca. Il consenso ai cookie si revoca dal banner cookie; quello all'assistente e alle e-mail di marketing scrivendoci.
• Reclamo a un'autorità di controllo — nello Spazio economico europeo, l'autorità del paese di residenza, di lavoro o del luogo della presunta violazione; nel Regno Unito, l'Information Commissioner's Office; in Türkiye, l'Autorità per la protezione dei dati personali (KVKK). Non è tenuto a reclamare prima presso di noi.

12. Cookie, Do Not Track e Global Privacy Control

Utilizziamo quattro categorie di cookie: necessari, analitici, di marketing e funzionali. Tutto ciò che non è necessario è disattivato per impostazione predefinita e si carica solo dopo la sua accettazione tramite il nostro banner cookie. La nostra Cookie Policy descrive ciascuna categoria.

Do Not Track: il nostro servizio non risponde in modo diverso a un segnale Do Not Track del browser. Non esiste uno standard di settore condiviso su come un sito debba reagirvi, e preferiamo dirglielo chiaramente anziché lasciar intendere una protezione che non forniamo.

Global Privacy Control: il segnale Global Privacy Control lo rispettiamo. Quando il suo browser ne invia uno, lo trattiamo come rifiuto dei cookie analitici e di marketing, e tali tecnologie non vengono caricate. Il segnale prevale su una precedente accettazione nel nostro banner, perché un rifiuto che un clic precedente potesse scavalcare non sarebbe un rifiuto. Se desidera attivare analytics o pubblicità, disattivi il segnale nel browser.

Altri soggetti che raccolgono dati tra siti diversi: se — e solo se — accetta i cookie analitici o di marketing, Google può raccogliere informazioni sulla sua attività su questo sito e combinarle nel tempo con informazioni provenienti da altri siti, nel suo ruolo di fornitore di analytics e pubblicità. Se rifiuta tali categorie, qui quella raccolta non avviene. Le tecnologie necessarie, compresa reCAPTCHA, operano in ogni caso, ma sono impiegate per la sicurezza e non per costruire un suo profilo.

13. California

Questa sezione è fornita ai residenti in California. Attualmente non raggiungiamo le soglie che assoggettano un'impresa al California Consumer Privacy Act, ma pubblichiamo questa informativa perché il California Online Privacy Protection Act si applica indipendentemente dalle nostre dimensioni e perché preferiamo che lei possa verificare.

Può richiedere l'accesso alle sue informazioni personali, la loro cancellazione e la loro correzione, e non sarà trattato diversamente per averlo chiesto. Utilizzi il canale di contatto della sezione 11.

Quando agiamo come fornitore di servizi per uno dei nostri clienti business, trattiamo le informazioni dei suoi consumatori soltanto secondo le sue istruzioni e secondo le condizioni contrattuali indicate nel nostro Accordo sul trattamento dei dati.

• Categorie di informazioni personali raccolte negli ultimi 12 mesi: identificativi (nome, e-mail, identificativo dell'account, indirizzo IP); informazioni commerciali (abbonamento, piano e registrazioni delle transazioni); attività internet (pagine visitate, interazione con il servizio); geolocalizzazione dedotta soltanto a livello di paese dal suo indirizzo IP per finalità fiscali e linguistiche; e i contenuti che invia, ossia i suoi file e i suoi messaggi all'assistenza.
• Fonti: lei, il suo browser, il nostro fornitore di pagamento e il provider di identità con cui sceglie di accedere.
• Finalità aziendali: quelle indicate alla sezione 4.
• Categorie di terzi a cui comunichiamo i dati: quelli nominati alla sezione 6.
• Non vendiamo informazioni personali e non le abbiamo vendute nei 12 mesi precedenti.
• Condivisione per pubblicità comportamentale intercontestuale: le nostre tecnologie pubblicitarie si caricano solo dove lei abbia accettato i cookie di marketing. Se li accetta, la pubblicità che ne consegue può configurare una «condivisione» ai sensi del diritto californiano. Rifiutare i cookie di marketing, o inviare un segnale Global Privacy Control, la interrompe.
• Non raccogliamo consapevolmente informazioni personali da persone di età inferiore a 18 anni, perciò non vendiamo né condividiamo informazioni personali di minori.
• Conservazione: come indicato alla sezione 8.

14. Età

Il servizio è destinato a persone di almeno 18 anni. Per creare un account deve avere 18 anni, e i piani a pagamento richiedono la capacità di contrarre.

Non raccogliamo consapevolmente dati personali da persone di età inferiore a 18 anni. Se ritiene che un minore ci abbia fornito dati personali, scriva a [email protected] e li cancelleremo. Se è genitore o tutore e desidera verificare, ci contatti e le daremo assistenza.

15. Modifiche alla presente informativa

La data di efficacia in cima a questa pagina è la data in cui la formulazione attuale è entrata in vigore. Cambia soltanto quando cambia la formulazione, così può farvi affidamento.

Quando apportiamo una modifica sostanziale — che incida su che cosa raccogliamo, perché, chi lo riceve, per quanto tempo lo conserviamo o sui suoi diritti — ne informeremo i titolari di account via e-mail almeno 30 giorni prima che abbia effetto, indicando che cosa è cambiato. Quando una modifica richiede il suo consenso, lo chiederemo anziché presumerlo.

Le versioni precedenti sono disponibili su richiesta.